Infection tenace : Rundll32.exe iexplore.exe - Page 2

Précédent
  • 1
  • 2
  1. Zergola
     
    1. ========================= SEAF 1.0.1.0 - C_XX
    2.
    3. Commencé à: 13:01:01 le 01/11/2010
    4.
    5. Valeur(s) recherchée(s):
    6. f2r4v4O1.exe
    7.
    8. Légende: TC => Date de création, TM => Date de modification, DA => Dernier accès
    9.
    10. (!) --- Calcul du Hash "MD5"
    11. (!) --- Informations supplémentaires
    12. (!) --- Recherche registre
    13.
    14. ====== Fichier(s) ======
    15.
    16.
    17. "C:\Qoobox\Quarantine\C\ProgramData\f2r4v4O1.exe.vir" [ NOT_CONTENT_INDEXED|ARCHIVE | 78 Ko ]
    18. TC: 31/10/2010,17:17:59 | TM: 31/10/2010,17:17:58 | DA: 31/10/2010,17:47:49
    19.
    20. Hash MD5: 1563ECCBF0F2179524082AF25384EF33
    21.
    22.
    23. =========================
    24.
    25.
    26.
    27. ====== Entrée(s) du registre ======
    28.
    29.
    30. [HKLM\Software\Microsoft\Windows\Windows Error Reporting\Debug]
    31. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
    32.
    33. [HKU\.DEFAULT\Software\Microsoft\Windows\Windows Error Reporting\Debug]
    34. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
    35.
    36. [HKU\S-1-5-18\Software\Microsoft\Windows\Windows Error Reporting\Debug]
    37. "StoreLocation"="C:\ProgramData\Microsoft\Windows\WER\ReportQueue\AppCrash_f2r4v4O1.exe_d379b93f0a5ec685ec1d2db3fb45e274eeba26_13bb13de" (REG_SZ)
    38.
    39. =========================
    40.
    41. Fin à: 13:04:33 le 01/11/2010
    42. 575682 Éléments analysés
    43.
    44. =========================
    45. E.O.F
    0
  2. Utilisateur anonyme
     
    Re

    La détection est dans la quarantaine de ComboFix.

    Nettoyons et ensuite on reprend depuis le début.

    Télécharge DelFix de Xplode

    * Lance le.
    * A l'invite, [Suppression] ()
    * Un rapport va s'ouvrir à la fin, colle le dans la réponse

    Ensuite pour le désinstaller ; tu relances et tu passes à l'option [Désinstallation]
    Il faut supprimer le fichier .exe manuellement.

    @+

    0
  3. Zergola
     
    Qu'entends tu par "on reprend depuis le début" Je relance un Diag puis comboFix ?

    Voila le dernier rapport que tu m'a demandé !

    Rapport DelFix v6.0 - 01/11/2010 à 13:22,25
    Mis à jour le 22/10/10 à 13h30 par Xplode
    Système d'exploitation : Windows 7 Professional (32 bits) [version 6.1.7600]
    Navigateur : Mozilla Firefox 3.6.12 (fr) [Navigateur par défaut]
    Processeur : Intel(R) Core(TM)2 Duo CPU T9300 @ 2.50GHz
    Mémoire vive totale : 2,99 Go
    Nom d'utilisateur : Martin - ZERGOLA-5 (Administrateur)
    Exécuté depuis : C:\Users\Martin\Desktop\DelFix.exe

    ~~~~~~ Dossier(s) ~~~~~~

    Supprimé : C:\Qoobox
    Supprimé : C:\USBFix
    Supprimé : C:\MyHosts
    Supprimé : C:\Program Files\ZHPDiag
    Supprimé : C:\Program Files\SEAF
    Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

    ~~~~~~ Fichier(s) ~~~~~~

    Supprimé : C:\ComboFix.txt
    Supprimé : C:\UsbFix.txt
    Supprimé : C:\UsbFix_Upload_Me_ZERGOLA-5.zip
    Supprimé : C:\rkill.log
    Supprimé : C:\TDSSKiller.2.4.5.1_01.11.2010_10.33.36_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_30.10.2010_15.39.18_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_30.10.2010_15.42.51_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_19.07.07_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_19.07.09_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_21.22.28_log.txt
    Supprimé : C:\TDSSKiller.2.4.5.1_31.10.2010_23.10.37_log.txt
    Supprimé : C:\MyHosts.txt
    Supprimé : C:\ZHPExportRegistry-01-11-2010-08-53-56.txt
    Supprimé : C:\Windows\grep.exe
    Supprimé : C:\Windows\PEV.exe
    Supprimé : C:\Windows\NIRCMD.exe
    Supprimé : C:\Windows\MBR.exe
    Supprimé : C:\Windows\sed.exe
    Supprimé : C:\Windows\SWREG.exe
    Supprimé : C:\Windows\SWSC.exe
    Supprimé : C:\Windows\SWXCACLS.exe
    Supprimé : C:\Windows\zip.exe
    Supprimé : C:\Users\Martin\Desktop\MyHosts.exe
    Supprimé : C:\Users\Martin\Desktop\UsbFix.exe
    Supprimé : C:\Users\Martin\Desktop\TDSSKiller.exe
    Supprimé : C:\Users\Martin\Desktop\CFScript.txt
    Supprimé : C:\Users\Martin\Desktop\SEAF.exe
    Supprimé : C:\Users\Martin\Desktop\ZHPDiag.exe
    Supprimé : C:\Users\Martin\Desktop\ZHPDiag.txt
    Supprimé : C:\Users\Martin\Desktop\ZHPFixReport.txt
    Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
    Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
    Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
    Supprimé : C:\Users\Martin\Downloads\rkill.exe
    Supprimé : C:\Users\Martin\Downloads\HijackThis.exe
    Supprimé : C:\Users\Martin\Downloads\hijackthis.log
    Supprimé : C:\Users\Martin\Downloads\HiJackThis.msi

    ~~~~~~ Registre ~~~~~~

    Clé Supprimée : HKLM\Software\swearware
    Clé Supprimée : HKLM\Software\TrendMicro
    Clé Supprimée : HKCU\SOFTWARE\USBFix
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SEAF
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

    ########## EOF - "C:\DelFixSuppr.txt" - [2887 octets] ##########
    0
  4. Utilisateur anonyme
     
    Re

    On reprend l'analyse ;c'est tout.

    Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman :

    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    Ou

    https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

    Serveur N°2

    Ou

    http://www.premiumorange.com/zeb-help-process/zhpdiag.html
    en bas de la page ZHP avec un numéro de version.

    Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

    Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit « exécuter en tant que administrateur »

    Clique sur la loupe pour lancer l'analyse.

    Laisse l'outil travailler, il peut être assez long.

    Ferme ZHPDiag en fin d'analyse.

    Pour transmettre le rapport clique sur ce lien :

    http://www.cijoint.fr/index.php
    Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

    Sélectionne le fichier ZHPDiag.txt.

    Clique sur "Cliquez ici pour déposer le fichier".

    Un lien de cette forme :

    http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

    est ajouté dans la page.

    Copie ce lien dans ta réponse.

    Merci
    @+
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  7. Utilisateur anonyme
     
    Re

    Peux tu me poster ton Fichier Hosts.
    Ce lien rien que pour que tu saches où est ce fichier.
    Merci.

    @+
    ---------Contributeur Sécurité---------
    On a tous été un jour débutant dans quelque chose.
    Mais le savoir est la récompense de l'assiduité.
    0
  8. Zergola
     
    # Copyright (c) 1993-2006 Microsoft Corp.
    #
    # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
    #
    # This file contains the mappings of IP addresses to host names. Each
    # entry should be kept on an individual line. The IP address should
    # be placed in the first column followed by the corresponding host name.
    # The IP address and the host name should be separated by at least one
    # space.
    #
    # Additionally, comments (such as these) may be inserted on individual
    # lines or following the machine name denoted by a '#' symbol.
    #
    # For example:
    #
    # 102.54.94.97 rhino.acme.com # source server
    # 38.25.63.10 x.acme.com # x client host
    #
    # Ce fichier hosts a été crée par MyHosts de "jeanmimigab"
    #
    # https://sites.google.com/site/jeanmimigab/home/myhosts/tutoriel-myhosts-1

    127.0.0.1 localhost
    ::1 localhost
    0
  9. Utilisateur anonyme
     
    Re

    Et tu as toujours des problèmes pour faire Windows update?

    @+
    0
  11. Utilisateur anonyme
     
    Re

    Vérifions quelque chose:

    Télécharge FindyKill ( de El Desaparecido) sur ton bureau et installe le :

    http://www.teamxscript.org/findykillTelechargement.html

    ! Déconnecte toi et ferme toutes applications en cours !

    * Double clique sur "FindyKill.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut.

    * Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...)

    * Double-clique sur le raccourci FindyKill qui est sur ton bureau pour lancer l'outil.
    * Au menu principal choisis l'option " F " pour français et tape sur [entrée] .

    * Au second menu Choisis l'option " 1 " (recherche) et tape sur [entrée]

    Laisse travailler l'outil et ne touche à rien ...

    --> Poste le rapport qui apparaît à la fin , sur le forum ...

    ( le rapport est sauvegardé aussi sous C:\FindyKill.txt )
    ( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

    Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
    Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
    Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

    @+
    0
  12. Zergola
     
    A noter : j'ai eu par trois fois l'erreur "L'utilitaire (QGREP) de recherche de chaînes de caractères a cessé de fonctionner."

    Voici tout de même le rapport :

    ############################## | FindyKill V5.052 |

    # User : Martin (Administrateurs) # ZERGOLA-5
    # Update on 23/10/2010 by El Desaparecido
    # Start at: 15:23:40 | 01/11/2010
    # Website : http://www.teamxscript.org/
    # Contact : eldesaparecido@teamxscript.org

    # Intel(R) Core(TM)2 Duo CPU T9300 @ 2.50GHz
    # Microsoft Windows 7 Professionnel (6.1.7600 32-bit) #
    # Internet Explorer 8.0.7600.16385
    # Windows Firewall Status : Enabled

    # C:\ # Disque fixe local # 372,61 Go (50,29 Go free) # NTFS
    # D:\ # Disque CD-ROM # 0 Mo (0 Mo free) [Audio CD] # CDFS
    # G:\ # Disque CD-ROM
    # H:\ # Disque fixe local # 931,51 Go (575,71 Go free) [Iomega HDD] # NTFS

    ################## | Eléments infectieux |

    ################## | Registre |

    ################## | Etat |

    # Affichage des fichiers cachés : OK

    # Mode sans echec : OK

    # (!) Uac = 0x0

    # Ndisuio -> Start = 3 ( Good = 3 | Bad = 4 )
    # EapHost -> Start = 3 ( Good = 2 | Bad = 4 )
    # Wlansvc -> Start = 2 ( Good = 2 | Bad = 4 )
    # SharedAccess -> Start = 2 ( Good = 2 | Bad = 4 )
    # windefend -> Start = 2 ( Good = 2 | Bad = 4 )
    # wuauserv -> Start = 2 ( Good = 2 | Bad = 4 )
    # wscsvc -> Start = 2 ( Good = 2 | Bad = 4 )

    ################## | ! Fin du rapport # FindyKill V5.052 ! |
    0
  14. Zergola
     
    Oui j'ai déjà vu ce post qui précaunise deux choses:

    - Combofix => déjà fait
    - TDSSKiller => déjà fait, et ne trouve rien.
    0
    1. Utilisateur anonyme
       
      oui;
      et ça:
      http://www.microsoft.com/...

      @+
      0
  15. Zergola
     
    Systèmes d'exploitation pris en charge : Windows Server 2008; Windows Vista

    J'ai Windows 7 Pro
    0
  17. Zergola
     
    Rien ce ce qui a d'énoncer sur ce lien n'a marché =(

    Avast! me dit que le fichier svchost a été bloqué ! On peut chercher par là non?
    0
  18. Utilisateur anonyme
     
    Re

    Poste moi un rapport d'analyse d'Avast;merci.
    @+
    0
  19. Zergola
     
    Salut,
    je le posterais dès que j'aurais le temps de le faire!!

    par contre mainteanant quand je double clic sur un .avi il me dit que ya une "Echec de l'éxécution du server" (alors que le clicker glisser dans le logiciel ouvert fonctionne correctement)
    Est ce une manip qu'on a fait qui a fait ca?

    Merci !
    0
  20. Utilisateur anonyme
     
    Bonsoir

    Il va te falloir récupérer ce CD de Seven.

    @+
    0
Précédent
  • 1
  • 2

Discussions similaires

Ephemeride.com tenace
baryton3e -
baryton3e -

3 réponses
mystarting123 : un malware tenace
pixmagic -
Destrio5 -

6 réponses
Problème Installation Silverlight tenace ...
tchetchn -
tchetchn -

10 réponses
infection
céline0034 -
totobetourne -

12 réponses
Infection
toast3r -
toast3r -

44 réponses